安全修复会应用到 YW SkillFoundry 最新正式版。

不要为未公开漏洞开公开 issue。请用这个仓库的 GitHub 私下漏洞报告功能。如果不可用，通过仓库所有者 GitHub 主页上的联系方式私下联系。

请尽量写上：

• 影响文件和版本
• 最小复现
• 安全影响
• 已知缓解办法

一般会在 7 天内确认收到。请给修复和协调披露留一点时间。

我们关心：

• 校验脚本里的命令注入、路径逃逸、symlink 覆盖
• 证据校验被绕过
• 发布包或仓库里泄漏密钥、私人路径、原始会话标识
• CI / Release 流程里的安全风险

不在范围内的包括：宿主 agent 本身的通用行为风险、第三方模型输出质量，以及用户自己生成 skill 在外部系统里被滥用。

YW SkillFoundry 不会替 agent 或生成脚本做沙箱。请先审查指令和脚本，再执行。也不要在 skill 正文或证据材料里塞密钥。